ראיון עבודה - מנהל רשת
שאלות על VPN
SCCM PXE

בלי כתוביותעם כתוביות

מילון מושגים:

SCCM - כלי של מיקרוסופט לניהול מרכזי של מחשבים בארגון: הפצת תוכנה, עדכונים ומערכות הפעלה.

PXE - מנגנון שמאפשר למחשב לאתחל ולהתקין מערכת הפעלה דרך הרשת, בלי מדיה מקומית.

BitLocker - כלי של Windows להצפנת כוננים שלמים, כדי להגן על הנתונים אם ההתקן יאבד או ייגנב.

MFA - אימות רב-שלבי: דרישה ליותר מראיה אחת לזהות, למשל סיסמה בתוספת קוד חד-פעמי, לחיזוק האבטחה.

GPO - אובייקט מדיניות קבוצתית ב-Active Directory, שמכיל הגדרות ומדיניות המוחלות על משתמשים ומחשבים.

OU - יחידה ארגונית ב-Active Directory: מכל לארגון משתמשים, קבוצות ומחשבים ולהחלת מדיניות עליהם.

BIOS - תוכנה בסיסית בלוח האם שמאתחלת את החומרה ומפעילה את מערכת ההפעלה בעת הדלקת המחשב.

חתימה דיגיטלית - מנגנון מבוסס הצפנה שמוכיח את מקור המידע ושלא שונה בדרך, בעזרת המפתח הפרטי של החותם.

ראיון עבודה - מנהל רשת, שאלות על VPN, SCCM PXE

בשיעור זה ממשיכים עם שאלות מראיון עבודה אמיתי במשרד ממשלתי, עונים על ההקשחה ועל הקשחת מחשב סוקרים מחוץ לארגון, דנים בסוגי ה-VPN ובגישת ה-Zero Trust, מסבירים Group Policy במחשב בדומיין מול מחשב Stand Alone, ופותרים שאלת שכפול מאה מחשבים עם PXE, SCCM, BitLocker ו-Secure Boot.

נושאי הסיכום המוצגים בשיעור:

1. מהי הקשחה: הקשחה היא תהליך של אבטחת מערכת על ידי הקטנת שטח הפגיעות, כלומר הסרת תוכנות מיותרות ולא קריטיות מהמחשב, כי מה שמתקיפים הוא התוכנות המותקנות, וככל שיש פחות תוכנות יש פחות חורים ופחות אפשרויות לתקוף.

2. הקשחה בפועל: דוגמאות להקשחה הן בדיקת הפורטים הפתוחים במחשב וסגירת אלו שאינם נחוצים, ובתחנת עבודה רגילה אפשר לסגור את כל הפורטים כי אף אחד לא אמור להתחבר אליה אלא שהיא מתחברת לשרת, חוץ ממקרים מיוחדים כמו עבודה מהבית ברימוט דסקטופ שבה פותחים רק את פורט ה-RDP, ובנוסף עדכון שוטף של כל התוכנות והווינדוס, התקנת פיירוול והגדרתו, מניעת שיתוף קבצים, אנטי וירוס ותוכנות נגד רוגלות, ושימוש במכונות וירטואליות לבדיקת תוכנות שלא סומכים עליהן.

3. סיסמאות ובקרת גישה: חלק מההקשחה הוא יצירת סיסמאות חזקות, והיום סיסמה פחות משתים עשרה תווים נחשבת חלשה כי השרתים חזקים מספיק כדי לשבור סיסמאות בכוח, ולוגיקה חזקה לבקרת גישה, כמו החלפת סיסמת ברירת המחדל של מצלמה שהותקנה בארגון.

4. הקשחת מחשב סוקרים מחוץ לארגון: כשמדובר במחשב שנמצא מחוץ לארגון ונועד למטרה אחת של עריכת סקרים, הפתרון הוא מצב Kiosk Mode, מצב שבו אי אפשר להפעיל כלום חוץ מתוכנת הסקרים, אין לו התחל ואין את הכפתורים הרגילים, הווינדוס נכנס ישר למשתמש הסוקרים שבו פועלת תוכנה אחת בלבד, ובנפרד קיים משתמש אדמיניסטרטור עם הכל.

5. העברת נתונים ב-VPN: כדי להעביר נתונים מהמחשב שבחוץ אל רשת פנימית סגורה שאינה חשופה לאינטרנט חייבים VPN, ואפשר להשתמש ב-VPN משוכלל יותר עם MFA, אימות דו שלבי עם סמס בכל התחברות, כדי להגביר את האבטחה.

6. VPN מודרני מול VPN קלאסי: יש VPN מתוחכם יותר שמאפשר גישה מבחוץ רק לתוכנה מסוימת ורק לשרת אחד ברשת הפנימית, גישה שנקראת Zero Trust, כי אפילו את המחשב שאנחנו מנהלים בעצמנו לא סומכים עליו, והוא נותן שליטה גבוהה בתעבורה הנכנסת ואפשר להחליט אילו סוגי קבצים מותרים ואילו אסורים, בעוד שה-VPN הקלאסי סומך על המחשב ומכניס אותו כולו לרשת הארגונית, ובסוף כל אלה סוגים שונים של VPN.

7. מהו Group Policy: Group Policy הוא מנגנון לניהול מרכזי של כל המחשבים ברשת, ממקום אחד מנהלים את ההגדרות של הווינדוס ושל כל התוכנות, כי כל ההגדרות נמצאות ברג'יסטרי המקומי וה-GPO מנהל את הרג'יסטרי בצורה מרכזית דרך ממשק גרפי, מה שחוסך מעבר מחשב מחשב וכתיבת סקריפטים מתוחכמים, והמחשבים מושכים את ההגדרות כל תשעים דקות בערך.

8. GPO בדומיין וחלוקה ל-OU: במחשב שבדומיין ה-GPO חל על OU, סוג של תיקייה שבה נמצאים המחשבים והמשתמשים שהפוליסה משפיעה עליהם, וכך מחלקים את כל המשתמשים לקבוצות ומשייכים לכל OU את הפוליסה הרצויה, כך שלמנהלים יש פוליסה אחת, ללפטופים אחרת, לשרתים פוליסה משלהם ולאנשי מכירות משהו שונה, והכל מנוהל במקום מרכזי.

9. Local Group Policy במחשב Stand Alone: גם במחשב שאינו משויך לדומיין קיימת פוליסה מקומית, Local Security Policy, שבממשק שלה יש אלפי הגדרות שאין שום מקום אחר להגדיר אותן חוץ מהרג'יסטרי, שהוא מאוד טכני ולא ברור, ולכן הפוליסה המקומית היא בעצם ממשק גרפי לרג'יסטרי, היא גוברת על ההגדרות הרגילות של המערכת, מגדירה דברים שלא קיימים בלוח הבקרה ומונעת מהמשתמש לשנות הגדרות שננעלו בפוליסה.

10. שכפול מאה מחשבים דרך PXE: לשכפול מאה מחשבים ניידים משכפלים דרך הרשת, מה שנקרא PXE, מבצעים אתחול מכרטיס הרשת עם F12 והמחשב מושך את כל ההתקנה משרת מרוחק, ולרוב עושים זאת עם שרת SCCM של מיקרוסופט שמאפשר Zero Touch, כלומר בלי נגיעה, אחרי לחיצת F12 הכל נעשה לבד, כל ההתקנה וכל ההגדרות, ו-SCCM הוא מוצר מרכזי שמתקין תוכנות מרכזית ומנהל תחנות עבודה וכמעט לכל ארגון יש אותו.

11. אבטחה ברמת מערכת ההפעלה: הכוונה ל-BitLocker, ההצפנה שמפעילים דרך Group Policy מרכזי בארגון, ומפתח השחזור למקרה חירום נשמר ב-Active Directory, והמחשב שנשפך דרך F12 מקבל ווינדוס חדש, נכנס לדומיין ומקבל את פוליסת הדומיין כולל את הגדרות ה-BitLocker, וכך אם עובד יאבד את הלפטופ ומישהו יחלץ את הדיסק ויחבר אותו כדיסק נוסף במחשב אחר, הוא לא יוכל לגשת לקבצים כי הדיסק כולו מוצפן.

12. אבטחה ברמת ה-BIOS: הכוונה היא ל-BIOS החדש, UEFI, שיודע לבצע Secure Boot, בדיקת חתימה דיגיטלית של מערכת ההפעלה, ומטרתו להגן מפני וירוסים שעולים לפני הווינדוס, כך שמיד מה-BIOS עוברת השליטה למערכת הפעלה חתומה דיגיטלית, וזה מנע מה שנקרא bootloader rootkits, רוטקיטים שעולים לפני הווינדוס ושקשה מאוד לתפוס אותם כי הם הכי חזקים במערכת.

סיכום:

בשיעור זה ענינו על שאלות ראיון מתקדמות למנהל רשת, הסברנו מהי הקשחה וכיצד מקשיחים גם תחנת עבודה רגילה וגם מחשב סוקרים ייעודי בצורת Kiosk Mode, דנו בהבדל בין VPN קלאסי שמכניס את המחשב כולו לרשת לבין VPN חכם בגישת Zero Trust עם שליטה בתעבורה ואימות דו שלבי, הסברנו את Group Policy בדומיין עם חלוקה ל-OU ואת הפוליסה המקומית שמשמשת ממשק גרפי לרג'יסטרי במחשב Stand Alone, ופתרנו את שאלת שכפול מאה מחשבים בשילוב PXE ו-SCCM ב-Zero Touch, הצפנת BitLocker עם מפתח שחזור ב-Active Directory ו-Secure Boot ב-UEFI נגד רוטקיטים שעולים לפני המערכת.

פרקי ההרצאה: ראיון עבודה - מנהל רשת שאלות על VPN SCCM PXE

תמלול ההרצאה: ראיון עבודה - מנהל רשת שאלות על VPN SCCM PXE

הטקסט המלא של הדקות הראשונות בהרצאה «ראיון עבודה - מנהל רשת שאלות על VPN SCCM PXE» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם. היום אנחנו נמשיך עם שאלות שהיו בריאיון עבודה אמיתי באחד ממשרדי הממשלה. אנחנו בשאלה הרביעית: מהי הקשחה ומה המשמעות לבצע אותה?
00:15
בעצם רוצים לראות שאנחנו יודעים איך להקשיח שרתים, איך להקשיח את הרשת שלנו, שנסביר מה זה וניתן דוגמאות. נעשה את זה עוד מעט. בואו נראה את השאלה הבאה: מה חשוב להקשיח במחשב שלא נמצא בתוך הארגון ומטרתו לערוך סקרים ולהעביר לארגון נתונים מבחוץ דרך רשת סגורה.
00:38
אז עוד פעם הם שואלים איך להקשיח מחשב שנמצא מחוץ לארגון לצורך סקרים ואיך להעביר נתונים מבחוץ פנימה לרשת הפנימית הסגורה. שאלה מעניינת על VPN-ים. אנחנו נדבר איזה סוגי VPN קיימים.
00:55
תכף נתחיל לדבר על זה לעומק. שאלה שישית: מהו Group Policy ואיך הוא בא לידי ביטוי במחשב שנמצא ב-Active Directory במחשב שהוא Stand Alone. או, זה מעניין.
01:07
שאלה על Group Policy במחשב Stand Alone שהוא כאילו לא משויך ל-Domain. יפה מאוד. נדבר על Local Group Policy. כנראה שהם רוצים לדעת האם אנחנו באמת מבינים את הנושא.
01:19
שאלה מאוד מאוד יפה. בואו נראה שאלה שביעית: יש צורך לשכפל מאה מחשבים ניידים עם אבטחה ברמת מערכת ההפעלה וגם ברמת ה-BIOS. מה צריך לקחת בחשבון בתהליך ההכנה?
01:32
מהן המגבלות? או. זאת שאלה מעניינת, איך הייתי משכפל מאה מחשבים. אני אסביר לכם על Pixie, על שכפול דרך הרשת.
01:41
זאת הולכת להיות הרצאה מאוד מאוד מעניינת. אז בואו נתחיל ממה היא הקשחה ומה המשמעות לבצע אותה. אז הקשחה זה למעשה הגברת אבטחה. בואו נראה איך ויקיפדיה כתבו את זה.
01:52
הקשחה היא תהליך של אבטחת מערכת. עושים אותה יותר מאובטחת על ידי הקטנת שטח הפגיעות. זאת אומרת אנחנו מורידים תוכנות מיותרות מהמחשב.
02:04
כל מה שלא נחוץ באמת לעבודה אנחנו מעיפים מהמחשב כדי שלתוקף יהיה פחות אפשרות להתחבר אלינו, פחות אפשרויות לתקוף אותנו. כי מה תוקפים במחשב? את התוכנות המותקנות במחשב.
02:19
אז אם יש פחות תוכנות על השרת או על המחשב של העובד, אז יש לו פחות חורים ופחות אפשרויות לתקוף. זה נקרא שטח פגיעות. אחד הדברים שעושים זה בדיקה איזה פורטים פתוחים במחשב וסוגרים אותם כדי שאי אפשר יהיה להתחבר לשרת בפורט שהוא לא באמת נחוץ לעבודה ואם זאת תחנת עבודה רגילה של User אני יכול בכלל לסגור לו את כל הפורטים.
02:46
אף אחד לא אמור להתחבר לתחנת העבודה. תחנת העבודה אמורה להתחבר לשרת, אבל אף אחד לא אמור להתחבר לתחנת עבודה, אלא אם כן יש מקרים מיוחדים שהעובד רוצה מהבית להתחבר ב-Remote Desktop ולהמשיך לעבוד אז אני אפתח לו רק את הפורט של RDP, של Remote Desktop שלוש, שלוש, שמונה, תשע.
03:05
בקיצור, הקשחה זה תהליך של אבטחת המערכת על ידי הקטנת שטח הפגיעות. הנה הם פה מפרטים. מחיקת תוכנות מיותרות או לא קריטיות. אפילו בתוך אותה תוכנה מאפיינים שהם לא קריטיים.
03:19
עדכון שוטף, מתקינים את כל התוכנות לגרסה האחרונה וגם את הווינדוס. מתקינים Firewall ומגדירים אותו כמו שצריך. סגירת חיבורי רשת מיותרים, הכוונה לפורטים שאי אפשר יהיה להתחבר למחשב בפורט שהוא לא נחוץ לעבודה.
03:36
מניעת שיתוף קבצים, אנטי וירוס והתקנת תוכנות מפני רוגלות, שימוש במכונות וירטואליות בקונטיינרים שאם יש לי איזו תוכנה שאני חושד בה או משהו ש... אני לא בוטח במאה אחוז ואני רוצה לבדוק אותו, אני שם אותו במכונה וירטואלית נפרדת.
03:54
יצירת סיסמאות חזקות, כי היום סיסמה פחות משתיים עשרה תווים נחשבת לחלשה כי השרתים נהיו כל כך חזקים שהם יודעים לשבור סיסמאות, לעבור בכוח על כל האפשרויות. היום המינימום זה שתיים עשרה תווים.
04:09
לוגיקה חזקה לבקרת גישה. זאת אומרת הרשאות גישה לקבצים ומעבר והתאמה להגדרות ברירת מחדל וסיסמאות. לדוגמה, אם התקנו מצלמה בארגון שלנו אז צריך להחליף סיסמת התחברות למצלמה הזאת, לא להשאיר ברירת מחדל.
04:26
בקיצור, זה הרעיון של הקשחה. אז לסיכום מה שהייתי כותב, שהקשחה זה הגברת אבטחה כגון סגירת פורטים ב-Firewall שלא נחוצים לעבודה, הסרת תוכנות מהמחשב שלא באמת נחוצות לעבודה, התקנת אנטי וירוס ותוכנות הגנה מפני רוגלות, מעבר לסיסמאות חזקות וארוכות יותר.
04:48
בואו נראה מה השאלה הבאה. מה חשוב להקשיח במחשב שלא נמצא בתוך הארגון? המחשב נמצא מחוץ לארגון ומטרתו לערוך סקרים בחוץ ולהעביר לארגון נתונים מבחוץ דרך הרשת הסגורה.
05:02
זאת אומרת הוא צריך להעביר לנו נתונים לשרת פנימי כלשהו. איך הייתי מארגן את זה? אז שוב מדברים איתי על הקשחה של מחשב, אבל שימו לב, הפעם מדברים איתי על מחשב שהוא נועד למטרה אחת, לערוך סקרים, ולכן הייתי שם אותו במצב של Kiosk Mode.
05:20
Kiosk Mode זה מצב שבו אי אפשר להפעיל כלום